DSGVO und Cookies: Was die Verordnung von Ihrer Website verlangt

Kurz gesagt: Die DSGVO entscheidet, ob die Einwilligung hinter Ihren Cookies wirksam ist: Sie muss freiwillig, bestimmt, informiert, unmissverständlich, nachweisbar und so leicht widerrufbar sein, wie sie erteilt wurde. Sie gilt für jede Website mit Sitz in der EU und für jede Website außerhalb der EU, die Personen in der EU verfolgt. Fehler kosten bis zu 20 Mio. € oder 4 % des weltweiten Umsatzes, und alle Daten, die auf einer unwirksamen Einwilligung beruhen, werden rechtswidrig.

DSGVO: Worum geht es?

Die Datenschutz-Grundverordnung, amtlich Verordnung (EU) 2016/679, wurde am 27. April 2016 verabschiedet und gilt seit dem 25. Mai 2018. Als Verordnung gilt sie unmittelbar in allen EU-Mitgliedstaaten, ohne nationales Umsetzungsgesetz, und darüber hinaus im Europäischen Wirtschaftsraum.

Die DSGVO ist kein Cookie-Gesetz im engeren Sinn. Die Regel, dass Sie vor dem Speichern oder Auslesen von Informationen auf dem Gerät eines Besuchers fragen müssen, stammt aus Art. 5 Abs. 3 der ePrivacy-Richtlinie, in Deutschland umgesetzt durch § 25 TDDDG, das frühere TTDSG. Beide Texte wirken zusammen, und Art. 95 DSGVO stellt klar, dass die Verordnung die ePrivacy-Richtlinie nicht verdrängt. Die DSGVO liefert alles rund um diese Regel:

• Die Definition der Einwilligung. Art. 4 Nr. 11 definiert sie als „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung“, in Form einer Erklärung oder einer eindeutigen bestätigenden Handlung. Die ePrivacy-Richtlinie übernimmt diese Definition, Ihr Cookie-Banner wird also am Maßstab der DSGVO gemessen.
• Die Regeln für die Daten selbst. Erwägungsgrund 30 erklärt, dass Personen über Online-Kennungen wie IP-Adressen und Cookie-Kennungen identifizierbar sein können. Sobald ein Cookie eine Kennung, einen Browserverlauf oder ein Werbeprofil erfasst, regelt die DSGVO den Rest: Rechtsgrundlage, Transparenz, Speicherdauer, Sicherheit, Auskunfts- und Löschrechte.
• Die Rechenschaftspflicht. Sie müssen die Einhaltung nachweisen können, für die Einwilligung heißt das: sie belegen können (Art. 7 Abs. 1).

Räumlicher Anwendungsbereich. Nach Art. 3 Abs. 1 gilt die DSGVO für jede Verarbeitung durch ein in der EU niedergelassenes Unternehmen, unabhängig davon, wo die Server stehen. Nach Art. 3 Abs. 2 gilt sie auch für Unternehmen außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten. Analyse- und Werbe-Cookies, die Profile von EU-Besuchern bilden, sind ein Paradebeispiel für Beobachtung.

Wer ist betroffen?

Wenn Personen aus der EU Ihre Website besuchen und Sie mehr als unbedingt erforderliche Cookies einsetzen, betrifft Sie die DSGVO. Das gilt für:

• Unternehmen in der EU jeder Größe, vom lokalen Handwerksbetrieb mit Kontaktformular bis zum großen Onlineshop. Eine Ausnahme für kleine Unternehmen gibt es bei der Einwilligung nicht.
• Unternehmen außerhalb der EU, die EU-Besucher ansprechen oder verfolgen, etwa ein US-SaaS-Anbieter mit Google Analytics, Meta-Pixel oder LinkedIn Insight Tag. Art. 27 verlangt dann in der Regel einen Vertreter in der EU.
• Agenturen und Freiberufler, die Websites für Kunden betreuen. Verantwortlicher ist meist der Kunde, aber wer die Tags einbaut, prägt die Compliance.
• Drittanbieter, deren Skripte auf Ihrer Seite laufen. Der Gerichtshof der EU entschied im Fall Fashion ID (C-40/17, 29. Juli 2019), dass ein Websitebetreiber, der den „Gefällt mir“-Button von Facebook einbindet, für die Erhebung und Übermittlung der Daten gemeinsam mit Facebook verantwortlich sein kann. Sie können die Verantwortung also nicht einfach auf den Anbieter schieben.

Was die DSGVO für Cookies und Einwilligung vorschreibt

Rechtsgrundlage: Einwilligung für alles Nicht-Erforderliche

Art. 6 nennt sechs Rechtsgrundlagen. Für Cookies, die nicht unbedingt erforderlich sind (Analyse, Werbung, Social-Media-Plugins, die meisten A/B-Testing-Tools), ist das die Einwilligung nach Art. 6 Abs. 1 lit. a. Die Cookie-Banner-Taskforce des EDSA hat im Januar 2023 bestätigt, dass berechtigtes Interesse das Setzen oder Auslesen solcher Cookies nicht rechtfertigen kann und dass die anschließende Verarbeitung ohne wirksame Einwilligung ebenfalls nicht DSGVO-konform ist.

Die vier Merkmale einer wirksamen Einwilligung

Die Leitlinien 05/2020 des EDSA zur Einwilligung (angenommen am 4. Mai 2020) übersetzen Art. 4 Nr. 11 in konkrete Regeln:

• Freiwillig. Der Zugang zu Ihren Inhalten darf nicht davon abhängen, dass Cookies akzeptiert werden. Der EDSA nennt als Beispiel ein Skript, das die Seite verdeckt, bis „Cookies akzeptieren“ geklickt wird: Mangels echter Wahl ist die Einwilligung nicht freiwillig. Das ist die sogenannte Cookie-Wall.
• Bestimmt und granular. Nutzer müssen Zweck für Zweck wählen können (Analyse, Werbung, Personalisierung), statt ein Paket zu akzeptieren.
• Informiert. Mindestens die Identität des Verantwortlichen, der Zweck jedes Verarbeitungsvorgangs, die Art der erhobenen Daten und das Widerrufsrecht.
• Unmissverständlich. Es braucht eine eindeutige bestätigende Handlung. Laut Erwägungsgrund 32 sind „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit“ keine Einwilligung, und der EDSA ergänzt, dass auch Scrollen oder Wischen nicht genügt.

Vorherige Einwilligung und Ausnahmen

Nicht erforderliche Cookies dürfen erst gesetzt, Tracking-Skripte erst ausgelöst werden, wenn der Besucher zugestimmt hat. Ein Banner, der eine Wahl anzeigt, während Google Analytics im Hintergrund bereits lädt, erfüllt diese Regel nicht.

Unbedingt erforderliche Cookies für einen ausdrücklich gewünschten Dienst (Warenkorb, Login-Sitzung, Lastverteilung, Speicherung der Cookie-Entscheidung) brauchen keine Einwilligung. Diese Ausnahme stammt aus der ePrivacy-Richtlinie. Der EDSA warnt davor, Marketing- oder Analyse-Cookies als „notwendig“ einzustufen, um die Frage zu umgehen: Sie müssen für jeden als notwendig gelisteten Cookie begründen können, warum er es ist.

Speicherdauer, Widerruf und Nachweis

Dauer. Die DSGVO kennt keine feste Lebensdauer für Cookies oder Einwilligungen. Daten dürfen nicht länger als nötig gespeichert werden (Art. 5 Abs. 1 lit. e). Setzen Sie angemessene Cookie-Laufzeiten, erneuern Sie Einwilligungen regelmäßig und fragen Sie erneut, wenn neue Anbieter oder Zwecke hinzukommen.

Widerruf. Nach Art. 7 Abs. 3 kann die Einwilligung jederzeit widerrufen werden, und der Widerruf muss so einfach sein wie die Erteilung. Wenn das Akzeptieren einen Klick gekostet hat, darf das Ablehnen später keine E-Mail an Ihren Support erfordern. Die Taskforce empfiehlt ein dauerhaft sichtbares Symbol oder einen Link an einer festen Stelle, etwa im Footer.

Nachweis. Art. 7 Abs. 1 legt Ihnen die Beweislast auf. Führen Sie ein Einwilligungsprotokoll mit Zeitstempel, getroffener Wahl, Bannerversion samt Text und einer Kennung, die den Eintrag dem Browser zuordnet. Ohne dieses Protokoll existiert Ihre Einwilligung bei einer Prüfung praktisch nicht.

Der Cookie-Banner nach DSGVO

Ein Cookie-Banner nach DSGVO setzt all das in einige Gestaltungsentscheidungen um. Auf der ersten Ebene zeigt er:

• eine kurze, verständliche Erklärung, wofür Sie Cookies einsetzen und wer die Daten erhält;
• einen Button „Alle akzeptieren“ und einen Button „Alles ablehnen“, auf derselben Ebene und mit vergleichbarem Gewicht;
• einen Button „Einstellungen“, der eine zweite Ebene mit Schaltern pro Zweck öffnet, alle standardmäßig deaktiviert;
• einen Link zur Cookie-Richtlinie mit allen Cookies, Zwecken und Laufzeiten.

Die Cookie-Banner-Taskforce des EDSA nennt Praktiken, die keine wirksame Einwilligung erzeugen:

• keine Ablehnoption auf der Ebene mit dem Akzeptieren-Button;
• vorausgewählte Kästchen in den Einstellungen;
• eine Ablehnoption, die als einfacher Textlink im Fließtext oder außerhalb des Banners versteckt ist;
• ein Ablehnen-Button mit so schwachem Kontrast, dass er unlesbar ist;
• Schalter für „berechtigtes Interesse“ in tieferen Ebenen, die eine doppelte Ablehnung erzwingen;
• Marketing- oder Analyse-Cookies, die fälschlich als notwendig gekennzeichnet sind.

Die deutschen Aufsichtsbehörden vertreten dieselbe Linie: Die DSK verlangt eine gleichwertige Ablehnoption, die in Größe, Farbe, Kontrast und Schriftbild vergleichbar ist. Layouts und Formulierungen finden Sie in unserem Leitfaden zum DSGVO-konformen Cookie-Banner, die Sicht einer Aufsichtsbehörde auf Dark Patterns in unserem Artikel zu Cookie Dark Patterns.

Sanktionen und Kontrollen

Jeder EWR-Staat hat eigene unabhängige Aufsichtsbehörden, in Deutschland die Landesdatenschutzbehörden und den BfDI, koordiniert durch den Europäischen Datenschutzausschuss (EDSA). Bei grenzüberschreitenden Fällen ist nach dem One-Stop-Shop die Behörde am Ort der Hauptniederlassung federführend. Für die ePrivacy-Regeln zum Setzen von Cookies gilt der One-Stop-Shop nicht, nationale Behörden können also direkt gegen Banner vorgehen.

Nach Art. 83 Abs. 5 können Verstöße gegen die Grundsätze, einschließlich der Bedingungen für die Einwilligung, mit bis zu 20 Mio. € oder 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist. Andere Verstöße sind auf 10 Mio. € oder 2 % begrenzt (Art. 83 Abs. 4). Zwei reale Fälle zeigen, worauf die Behörden achten:

• Criteo, 40 Mio. € (CNIL, 15. Juni 2023). Die französische Aufsichtsbehörde sanktionierte das Adtech-Unternehmen, weil es nicht überprüfte, ob die Personen, deren Daten es verarbeitete, eingewilligt hatten. Die Tracker liefen auf Partnerwebsites, und Criteo verwies auf die Partner. Der Ausschuss stellte Verstöße gegen Art. 7, 12, 13, 15, 17 und 26 DSGVO fest (Beschluss SAN-2023-009). Die Lehre: Wer sich auf eine von Dritten eingeholte Einwilligung stützt, muss sie trotzdem nachweisen können.
• IAB Europe, 250.000 € (belgische Datenschutzbehörde, 2. Februar 2022). Die Behörde stellte fest, dass das Transparency and Consent Framework (TCF), das viele Banner für programmatische Werbung nutzen, mehrere DSGVO-Vorschriften verletzte. In einem am 14. Mai 2025 verkündeten Urteil hob das belgische Marktgericht die Entscheidung aus Verfahrensgründen auf, bestätigte aber ihre Begründung: Der TC-String ist ein personenbezogenes Datum, IAB Europe ist gemeinsam verantwortlich, und das Bußgeld von 250.000 € bleibt bestehen.

Bußgelder sind nur ein Teil des Risikos. Behörden können auch die Löschung von Daten anordnen, die ohne wirksame Einwilligung erhoben wurden, und Betroffene können sich beschweren oder Schadenersatz verlangen.

Checkliste zur Umsetzung

1. Scannen Sie Ihre Website und listen Sie alle Cookies, Pixel und Drittanbieter-Skripte Seite für Seite auf.
2. Ordnen Sie jeden Tracker ein als unbedingt erforderlich oder nicht, und dokumentieren Sie die Begründung.
3. Blockieren Sie nicht erforderliche Skripte bis zur Einwilligung, auch Tags aus dem Google Tag Manager.
4. Platzieren Sie „Akzeptieren“ und „Ablehnen“ nebeneinander auf der ersten Ebene, gleich gut sichtbar.
5. Bieten Sie eine granulare Auswahl pro Zweck, alle Schalter standardmäßig aus.
6. Nennen Sie den Verantwortlichen und die wichtigsten Empfänger und erklären Sie jeden Zweck verständlich.
7. Protokollieren Sie jede Einwilligung und Ablehnung mit Zeitstempel, Wahl und Bannerversion, exportierbar.
8. Bieten Sie einen dauerhaften Weg zum Widerruf, etwa ein schwebendes Symbol oder einen Footer-Link.
9. Prüfen Sie die Verträge mit Anbietern, insbesondere Vereinbarungen zur gemeinsamen Verantwortlichkeit bei Pixeln und Plugins.
10. Fragen Sie erneut, wenn neue Zwecke oder Anbieter hinzukommen, und scannen Sie nach jedem Website-Update.

Wie FlowConsent Ihnen hilft, die DSGVO einzuhalten

FlowConsent setzt die Einwilligungsregeln der DSGVO ohne Rechtsabteilung um. Skripte werden vor der Einwilligung blockiert, Analyse- und Werbe-Tags laufen erst nach der Zustimmung. Der Banner zeigt „Akzeptieren“ und „Ablehnen“ nebeneinander und bietet granulare Kategorien, der automatische Scan erkennt neue Cookies, wenn sich Ihre Website ändert. Jede Entscheidung wird gespeichert, und Sie exportieren den von Art. 7 Abs. 1 verlangten Einwilligungsnachweis über den Nachweisbericht. Google Consent Mode v2 ist integriert, das Hosting erfolgt in Europa, die Einrichtung dauert etwa zehn Minuten. Starten Sie mit unserem kostenlosen Scanner und erstellen Sie Ihr Konto: kostenlos bis 25.000 Sitzungen pro Monat, Pro für 14,99 € pro Monat bis 100.000 Sitzungen.

Weiterführende Artikel

Die folgenden Artikel vertiefen jede Anforderung dieser Seite. Beginnen Sie mit den 7 Voraussetzungen einer wirksamen DSGVO-Einwilligung, wenn Sie die rechtlichen Details suchen, oder mit dem Leitfaden zum Einwilligungsnachweis, wenn Sie sich auf eine Prüfung vorbereiten. Die übrigen behandeln Cookie-Kategorien, Google Analytics, Banner-Beispiele und die Neuerungen für 2026.